Anexo de tratamiento de datos

Volver a la sección legal

Última actualización: 25 de agosto de 2026. Esta traducción es para su comodidad; si hubiera alguna diferencia, rige la versión en inglés.

Este Anexo de tratamiento de datos (el “DPA”) forma parte del acuerdo entre usted (“usted”, el “Cliente” o el “Responsable”) y Solution Hippo, LLC (“SolutionHippo”, “nosotros”, “nos” o el “Encargado”) por el hosting de WordPress administrado y los servicios relacionados que se describen en nuestros Términos del servicio (el “Acuerdo”). Recoge cómo tratamos los datos personales que contienen los sitios web que alojamos para usted. Cuando este DPA contradiga el resto del Acuerdo en materia de protección de datos, prevalece este DPA. Todas las demás disposiciones del Acuerdo, incluidas sus limitaciones de responsabilidad, siguen vigentes y se aplican a este DPA.

Este DPA se aplica solo cuando, y en la medida en que, tratemos Datos Personales del Cliente por cuenta de usted y una Ley de Protección de Datos se aplique a ese tratamiento. Refleja nuestro papel como encargado del tratamiento y debe leerse junto con nuestra Política de privacidad, que describe la misma relación en palabras sencillas.

1. Definiciones

Los términos definidos en el Acuerdo tienen aquí el mismo significado. Además:

  • “Leyes de Protección de Datos” son todas las leyes que se aplican al tratamiento de datos personales según este DPA, incluidos el Reglamento General de Protección de Datos de la UE 2016/679 (“RGPD”), el RGPD del Reino Unido y la Ley de Protección de Datos de 2018, la Ley Federal suiza de Protección de Datos, y las leyes de privacidad de los estados de Estados Unidos, como la Ley de Privacidad del Consumidor de California modificada por la Ley de Derechos de Privacidad de California (“CCPA/CPRA”).
  • “Responsable”, “Encargado”, “Interesado”, “Tratamiento”, “Datos Personales” y “Violación de Datos Personales” tienen el significado que les dan (o que les dan a sus equivalentes más cercanos, como “empresa”, “proveedor de servicios” y “consumidor” según la CCPA/CPRA) las Leyes de Protección de Datos.
  • “Datos Personales del Cliente” son los Datos Personales que tratamos por cuenta de usted al prestar los Servicios — principalmente los Datos Personales que contiene, o que genera, el sitio o los sitios web que alojamos para usted.
  • “Subencargado” es cualquier tercero que contratemos para tratar Datos Personales del Cliente como apoyo a los Servicios.

2. Papel de las partes

Para los Datos Personales del Cliente que contienen sus sitios alojados, usted es el Responsable y nosotros somos el Encargado (o, si usted mismo actúa como encargado para sus propios clientes, nosotros actuamos como su Subencargado). Usted decide qué Datos Personales entran en su sitio y para qué; nosotros solo los tratamos para alojar, proteger, respaldar y dar soporte a ese sitio por usted. Cada parte es responsable de cumplir las obligaciones que le corresponden según las Leyes de Protección de Datos. Por separado, actuamos como Responsable independiente de los datos limitados de cuenta y de facturación que recopilamos directamente de usted para llevar nuestro negocio, como se describe en nuestra Política de privacidad; ese tratamiento no se rige por este DPA.

3. Detalles del tratamiento

  • Objeto: nuestra prestación de hosting de WordPress administrado y de los servicios de soporte relacionados.
  • Duración: mientras alojemos su sitio según el Acuerdo, más el periodo limitado en el que las copias restantes van venciendo en nuestras copias de seguridad, como se describe abajo.
  • Naturaleza y finalidad: guardar y servir su sitio web; hacer copias de seguridad, monitoreo de seguridad, mitigación de malware, ajuste del rendimiento, actualizaciones y soporte técnico; y otras operaciones necesarias para prestar los Servicios.
  • Categorías de Interesados: las personas cuyos Datos Personales pone en su sitio o recopila a través de él — normalmente sus visitantes, clientes, suscriptores, personas que envían formularios y titulares de cuentas.
  • Categorías de Datos Personales: lo que su sitio guarde o trate. Normalmente incluye nombres, correos electrónicos, direcciones postales, números de teléfono, detalles de pedidos y cuentas, mensajes de soporte y datos técnicos como direcciones IP y entradas de los registros del servidor. Usted controla lo que recopila su sitio; no exigimos, ni le pedimos que pase por nosotros, ninguna categoría especial de Datos Personales, y acepta no usar los Servicios para tratar datos de categorías especiales salvo que antes haya puesto en marcha las garantías adecuadas.

4. Nuestras obligaciones como encargado

Cuando tratemos Datos Personales del Cliente por cuenta de usted:

  • Solo los trataremos siguiendo sus instrucciones. Tratamos los Datos Personales del Cliente solo para prestar los Servicios y darles soporte, y siguiendo sus instrucciones documentadas, que incluyen el Acuerdo, este DPA y su uso y configuración habituales de los Servicios. Le avisaremos si creemos que una instrucción infringe una Ley de Protección de Datos, y no usaremos los Datos Personales del Cliente para nuestros propios fines, ni los venderemos, ni los compartiremos salvo en lo que aquí se permite.
  • Los mantendremos confidenciales. Limitamos el acceso a los Datos Personales del Cliente al personal que lo necesita para prestar los Servicios, y ese personal está sujeto a obligaciones de confidencialidad adecuadas.
  • Los protegeremos. Mantenemos las medidas técnicas y organizativas que se describen en la Sección 5.
  • Le ayudaremos a cumplir sus obligaciones. Teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos, le daremos una ayuda razonable con sus obligaciones de responder a las solicitudes de los Interesados, de hacer evaluaciones de impacto en la protección de datos y consultas previas, y de notificar y comunicar las Violaciones de Datos Personales.
  • Apoyaremos su cumplimiento y sus auditorías. Pondremos a su disposición la información razonablemente necesaria para demostrar que cumplimos este DPA, como se describe en la Sección 9.
  • Devolveremos o borraremos los datos al terminar los Servicios, como se describe en la Sección 8.

5. Medidas de seguridad

Mantenemos medidas de seguridad adecuadas al riesgo, entre ellas: cifrado de los datos en tránsito y cifrado de las copias de seguridad en reposo; controles de acceso y administración con los mínimos privilegios; firewall de red y un firewall de aplicaciones web en la capa de seguridad externa; monitoreo continuo, detección de intrusiones y recuperación automática; parches y refuerzo periódicos de la plataforma de hosting; y copias de seguridad externas y redundantes. Revisamos estas medidas a medida que evoluciona nuestra plataforma y podemos actualizarlas, siempre que el nivel de protección no se reduzca de forma importante.

6. Subencargados

Nos da una autorización general para contratar Subencargados que nos ayuden a prestar los Servicios. Cada Subencargado está sujeto a un contrato por escrito que le impone obligaciones de protección de datos no menos protectoras que las de este DPA y que le permite usar los Datos Personales del Cliente solo para prestarnos servicios. Seguimos siendo responsables ante usted de que nuestros Subencargados cumplan esas obligaciones. Nuestros Subencargados actuales son:

  • Cloudflare — entrega de contenido, DNS y firewall de aplicaciones web / capa de seguridad.
  • Infraestructura de servidores administrada — herramientas de aprovisionamiento y gestión de servidores para la plataforma de hosting.
  • Stripe — procesamiento de pagos para la facturación de la cuenta.
  • SendGrid — envío de correos transaccionales y de la cuenta.
  • Almacenamiento externo de copias de seguridad cifrado e inmutable — almacenamiento externo de las copias de seguridad de los sitios web, guardado de forma redundante en varios proveedores independientes.

Antes de añadir o reemplazar un Subencargado que trate Datos Personales del Cliente, le avisaremos con una antelación razonable actualizando esta lista y, si nos lo pidió, por correo. Puede oponerse por motivos razonables de protección de datos en un plazo de catorce (14) días desde ese aviso. Si lo hace, trabajaremos con usted de buena fe para atender su preocupación; si no podemos, puede dar por terminados los Servicios afectados como medida correctiva, sin penalización, por la parte no usada de cualquier periodo prepagado.

7. Transferencias internacionales

Nosotros y algunos de nuestros Subencargados estamos en Estados Unidos o tratamos datos allí, así que prestar los Servicios puede implicar transferir Datos Personales del Cliente a otros países. Cuando los Datos Personales del Cliente protegidos por la legislación de la UE, del Reino Unido o de Suiza se transfieren a un país que no ha sido reconocido como de nivel de protección adecuado, esa transferencia se hace con una garantía adecuada, como las Cláusulas Contractuales Tipo de la Comisión Europea (junto con el Anexo de Transferencia Internacional de Datos del Reino Unido cuando corresponda) u otro mecanismo de transferencia legal, que se incorporan a este DPA por referencia en la medida en que se apliquen.

8. Violación de datos personales, devolución y borrado

Aviso de violaciones. Si llegamos a saber de una Violación de Datos Personales que afecte a Datos Personales del Cliente, le avisaremos sin demoras indebidas y le daremos la información de la que razonablemente dispongamos para ayudarle a cumplir sus propias obligaciones de aviso. Como usted es el Responsable, cualquier aviso a una autoridad de control o a las personas afectadas es responsabilidad de usted, con nuestra ayuda razonable.

Devolución y borrado. Cuando terminen los Servicios, durante un periodo razonable puede exportar su sitio y sus datos o pedirnos que le demos una copia. Después, quitamos los Datos Personales del Cliente de nuestros sistemas activos. Las copias restantes que haya en nuestras copias de seguridad cifradas se conservan con un calendario continuo de noventa (90) días y se borran de forma permanente cuando pasan de los noventa (90) días, salvo que la ley exija un plazo más largo. Mientras quede una copia en una copia de seguridad, sigue protegida por este DPA y no se restaura ni se usa para ningún otro fin.

9. Demostración del cumplimiento y auditorías

Si lo pide por escrito de forma razonable, y no más de una vez al año salvo que una Ley de Protección de Datos o una autoridad de control exijan otra cosa, pondremos a su disposición la información razonablemente necesaria para demostrar que cumplimos este DPA. Cualquier auditoría se hace con un aviso previo razonable, en horario laboral, de forma que no comprometa la seguridad ni la privacidad de otros clientes, y con confidencialidad. Podemos atender una solicitud de auditoría entregando documentación existente, como resúmenes de seguridad o certificaciones de terceros, cuando respondan razonablemente a su consulta.

10. Disposiciones generales

Este DPA está vigente mientras tratemos Datos Personales del Cliente por cuenta de usted. Podemos actualizarlo para reflejar cambios en los Servicios, en nuestros Subencargados o en la ley; publicaremos aquí la versión revisada y actualizaremos la fecha de arriba, y los cambios importantes se tratarán como se describe en la Sección 6 o en el Acuerdo. La responsabilidad total de cada parte que surja de este DPA o esté relacionada con él está sujeta a las limitaciones de responsabilidad que establece el Acuerdo. Este DPA se rige por la misma ley y está sujeto a las mismas condiciones de resolución de disputas que el Acuerdo. Las preguntas sobre este DPA, o las solicitudes relacionadas con él, pueden enviarse a support@solutionhippo.com.